12 artikla — Kirjanpitovelvollisuus (EU:n tekoälylaki)

Asetuksen (EU) 2024/1689 12 artikla — Kirjanpitovelvollisuus. Virallinen teksti, käytännön tulkinta, keskeiset velvollisuudet ja vaatimustenmukaisuuden vaikutukset.

Virallisen tekstin tiivistelmä

Asetuksen (EU) 2024/1689 12 artikla asettaa pakolliset kirjanpitovelvollisuudet korkean riskin tekoälyjärjestelmille. Artikla on osa III osastoa, 2 lukua, jossa säädetään teknisistä ja hallinnollisista vaatimuksista, jotka korkean riskin tekoälyjärjestelmien on täytettävä ennen niiden saattamista EU:n markkinoille tai käyttöönottoa.

Keskeinen velvollisuus on, että korkean riskin tekoälyjärjestelmät on suunniteltava ja kehitettävä lokiominaisuuksilla, jotka mahdollistavat tapahtumien automaattisen tallentamisen — yleisesti lokeina tunnetut — järjestelmän koko toiminnallisen elinkaaren ajan. Nämä lokit palvelevat kahta tarkoitusta: ne tukevat tarjoajan suorittamaa markkinoille saattamisen jälkeistä seurantaa 72 artiklan nojalla ja mahdollistavat kansallisten toimivaltaisten viranomaisten valvonta- ja tutkintatehtävien hoitamisen.

12 artiklan 2 kohdan mukaan lokiominaisuuksien on kirjattava vähintään kunkin järjestelmän käyttöjakson aika (aloitus- ja lopetuspäivämäärä ja -aika), tarvittaessa viitetietokanta, johon syötetietoja on verrattu, tiettyyn tuotokseen tai tulokseen johtaneet syötetiedot sekä — biometrisiä tunnistusjärjestelmiä koskien — tulosten tarkistamiseen osallistuneiden luonnollisten henkilöiden henkilöllisyys.

Artikla asettaa suunnitteluvelvollisuuden yksinomaan tarjoajille. Lokiominaisuuden on oltava järjestelmään rakennettu, ei jälkikäteen lisätty. Tämä heijastaa asetuksen laajempaa suunnitteluperiaatteistoa. Näitä järjestelmiä käyttöön ottavilla on täydentäviä velvollisuuksia 26 artiklan nojalla säilyttää käytön aikana syntyneet lokit siltä osin kuin ne ovat niiden hallinnassa.

Käytännön merkitys

Tarjoajille, jotka kehittävät tai saattavat EU:n markkinoille korkean riskin tekoälyjärjestelmiä, 12 artikla edellyttää, että tekniset suunnittelupäätökset tehdään suunnitteluvaiheessa, ei käyttöönoton jälkeen. Lokiominaisuuden on oltava tuotteen arkkitehtoninen ominaisuus.

Asianosaiset. Jokainen organisaatio, joka kehittää, saattaa markkinoille tai ottaa käyttöön korkean riskin tekoälyjärjestelmän 6 artiklan ja liitteen III mukaisesti, kuuluu 12 artiklan soveltamisalaan. Tähän kuuluvat muun muassa työnhakijoiden seulontaan, luottoluokitukseen, biometriseen tunnistamiseen, kriittisen infrastruktuurin hallintaan, koulutuksen arviointiin, lainvalvontaan, rajavalvontaan ja oikeuslaitokseen käytettävät järjestelmät. Operaattoreilla — organisaatioilla, jotka ottavat tarjoajan korkean riskin tekoälyjärjestelmän käyttöön omassa kontekstissaan — on toissijaisia velvollisuuksia hallinnassaan olevien lokien säilyttämiseksi.

Vaadittavat konkreettiset toimet. Tarjoajan on toteutettava automaattinen lokikirjaus, joka tallentaa vaaditut tietopisteet ilman manuaalista väliintuloa. Esimerkiksi tekoälyavusteisen ansioluetteloiden seulontatyökalun tarjoajan on varmistettava, että järjestelmä kirjaa jokaisen rekrytointisession, mallin kouluttamiseen tai kalibrointiin käytetyn tietoaineiston version sekä syötteet (hakijaprofiileja), joista kukin tuotos (sijoitus tai suositus) syntyi. Tätä työkalua käyttöön ottavan operaattorin on säilytettävä nämä lokit ja asetettava ne viranomaisten saataville pyynnöstä.

Tutkinnan kannalta oleellinen hyöty. Lokit ovat olemassa ensisijaisesti jälkikäteisanalyysin mahdollistamiseksi. Jos järjestelmä tuottaa syrjivän tuloksen tai aiheuttaa vahinkoa, sääntelyviranomaisten on pystyttävä rekonstruoimaan tapahtunut. Lokit, jotka ovat puutteellisia, ylikirjoitettuja tai saavuttamattomissa, estävät tämän tarkoituksen toteutumisen ja altistavat sekä tarjoajan että operaattorin täytäntöönpanoriskille.

Suhteellisuus. Kirjattavan sisällön konkreettinen laajuus on kalibroitu järjestelmän tyypin mukaan. Biometrisillä järjestelmillä on yksityiskohtaisimmat vaatimukset. Tarjoajien on dokumentoitava lokisuunnittelupäätöksensä 11 artiklan edellyttämässä teknisessä dokumentaatiossa.

Keskeiset velvollisuudet

• Lokikirjaus suunnittelun lähtökohdaksi. Korkean riskin tekoälyjärjestelmät on suunniteltava ja kehitettävä siten, että automaattiset tapahtumalokiominaisuudet on sisäänrakennettu järjestelmäarkkitehtuuriin ennen markkinoille saattamista tai käyttöönottoa.
• Lokien vähimmäissisältö. Lokeihin on kirjattava vähintään: kunkin käyttösession toiminta-aika, tarvittaessa syötteiden tarkistamiseen käytetty viitetietokanta, kunkin tuotoksen tai päätöksen tuottaneet syötetiedot sekä — biometrisiä tunnistusjärjestelmiä varten — tulosten tarkistaneiden luonnollisten henkilöiden henkilöllisyys.
• Operaattorin lokien säilyttäminen. Operaattorien on säilytettävä korkean riskin tekoälyjärjestelmän käytön aikana syntyneet lokit sovellettavan lain edellyttämän ajan ja vähintään markkinoille saattamisen jälkeisen seurannan ja sääntelyviranomaisten tutkinnan tukemiseen tarvittavan ajan.
• Viranomaisten saatavuus. Lokien on oltava pyynnöstä kansallisten toimivaltaisten viranomaisten saatavilla valvonnan, poikkeamien tutkinnan ja markkinavalvontatoimien helpottamiseksi.
• Tuotosten jäljitettävyys. Lokijärjestelmän on mahdollistettava syy-seurausketjun rekonstruointi tietystä syötteestä tiettyyn tuotokseen, mikä tukee vastuullisuutta ja selitysoikeutta sen soveltuessa.
• Yhdenmukaisuus teknisen dokumentaation kanssa. Lokikirjausarkkitehtuuri ja sen laajuus on kuvattava 11 artiklan nojalla ylläpidettävässä teknisessä dokumentaatiossa, jotta varmistetaan johdonmukaisuus suunnitellun ja seuratun järjestelmän välillä.

Suhde muihin artikloihin

12 artiklaa ei voi lukea erillään. Se toimii osana III osaston 2 luvun toisiinsa liittyvien vaatimusten verkostoa.

9 artikla (Riskienhallintajärjestelmä) muodostaa kattavan kehyksen, johon lokikirjaus osallistuu — lokit tuottavat operatiiviset tiedot, jotka ovat tarpeen riskien tunnistamiseksi ja arvioimiseksi todellisessa käyttöympäristössä.

11 artikla (Tekninen dokumentaatio) edellyttää, että tarjoajat dokumentoivat lokikirjausarkkitehtuurin ja sen ominaisuudet osana laajempaa teknistä asiakirja-aineistoa, joka toimitetaan ilmoitetuille laitoksille tai säilytetään sääntelyviranomaisten tarkastusta varten.

17 artikla (Laadunhallintajärjestelmä) edellyttää, että tarjoajat ylläpitävät laadunhallintajärjestelmää, joka integroi lokikirjauksen laajempiin operatiivisiin valvontatoimiin ja korjaavien toimenpiteiden menettelyihin.

26 artikla (Käyttöönottajien velvollisuudet) asettaa operaattoreille velvollisuuden säilyttää hallinnassaan olevia lokeja ja tehdä yhteistyötä tarjoajien ja viranomaisten kanssa, jolloin 12 artiklasta tulee koko toimitusketjussa jaettu vastuu.

72 artikla (Markkinoille saattamisen jälkeinen seuranta) on 12 artiklan lokien jatkokuluttaja — seurantajärjestelmä perustuu operatiivisiin lokeihin suorituskyvyn heikkenemisen, odottamattomien tuotosten ja uusien riskien havaitsemiseksi käyttöönoton jälkeen.

73 artikla (Vakavista poikkeamista ilmoittaminen) käyttää lokitietoja ensisijaisena todisteena, kun tarjoajien on ilmoitettava vakavista toimintahäiriöistä tai poikkeamista markkinavalvontaviranomaisille.

Vaatimustenmukaisuuden aikataulu

EU:n tekoälylaki (asetus 2024/1689) tuli voimaan 1. elokuuta 2024, kaksikymmentä päivää sen jälkeen kun se julkaistiin Euroopan unionin virallisessa lehdessä.

Asetuksen soveltaminen on vaiheistettu:

• 2. helmikuuta 2025 — Sietämättömän riskin tekoälykäytäntöjen kiellot (II osasto, 5 artikla) tulivat sovellettaviksi.
• 2. elokuuta 2025 — Yleiskäyttöisiä tekoälymalleja koskevat säännöt (VIII osasto) ja hallinnolliset velvollisuudet (III osasto, 4 luku ilmoitetuista laitoksista; VI osasto hallinnosta) tulivat sovellettaviksi.
• 2. elokuuta 2026 — Liitteessä III lueteltujen korkean riskin tekoälyjärjestelmien velvollisuudet alkavat soveltua useimpiin luokkiin. 12 artikla kuuluu tähän vaiheeseen. Korkean riskin tekoälyjärjestelmien tarjoajilla ja operaattoreilla on oltava vaatimustenmukaiset lokiominaisuudet käytössä tähän päivämäärään mennessä.
• 2. elokuuta 2027 — Pidennetty määräaika korkean riskin tekoälyjärjestelmille, joihin sovelletaan liitteessä I lueteltua olemassa olevaa alakohtaista unionin yhdenmukaistamislainsäädäntöä (esim. koneet, lääkinnälliset laitteet), mikä antaa kyseisille aloille lisäaikaa sopeutua olemassa oleviin vaatimustenmukaisuuden arviointikehyksiin.

Korkean riskin tekoälyjärjestelmiä kehittävien organisaatioiden on pidettävä 2. elokuuta 2026 tiukkana vaatimustenmukaisuuden määräaikana 12 artiklan lokikirjausvaatimuksille, ja lokikirjausinfrastruktuurin suunnittelu ja testaus on saatettava valmiiksi hyvissä ajoin etukäteen, jotta 43 artiklan mukaiset vaatimustenmukaisuuden arviointimenettelyt ovat mahdollisia.